Technika: co mówi serwer HTTP · Security

Kod stanu, przekierowania, nagłówki i bezpieczeństwo. To, co przeglądarka zwykle ukrywa, tu na jeden rzut oka, z gotowym kodem Apache dla nagłówków bezpieczeństwa.

1Co to jest?

Sekcja Technika pokazuje status HTTP, łańcuch przekierowań, ważne nagłówki odpowiedzi (Content-Type, cache, X-Robots-Tag), oprogramowanie serwera, IPv4 i IPv6, certyfikat oraz nagłówki bezpieczeństwa z oceną od A do F.

2Dlaczego to ważne?

Łańcuch trzech przekierowań kosztuje czas i pozycję. X-Robots-Tag: noindex w nagłówku jest niewidoczny w HTML, a mimo to usuwa stronę z wyszukiwarki. Brak nagłówków bezpieczeństwa czyni stronę podatną.

3Co sprawdza TagSpion

4Jak to naprawić

• Kieruj przekierowania bezpośrednio do celu, bez pośrednich przystanków.
• Ustaw nagłówki bezpieczeństwa w .htaccess lub w vHost. Gotowy blok jest pod „Fix”.
• CSP testuj najpierw w trybie report-only, inaczej zablokuje twoje własne skrypty.

# .htaccess or vHost - security headers (grade A)
<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
  # Test CSP first with Content-Security-Policy-Report-Only
  Header always set Content-Security-Policy "default-src 'self'; img-src 'self' data:; style-src 'self'; script-src 'self'"
</IfModule>